XSS(크로스 사이트 스크립팅)

웹사이트의 관리자가 아닌 사용자가 악성 스크립트를 삽입하여 다른 사용자의 정보(세션, 쿠키 등)를 탈취하거나 비정상적인 동작을 실행하는 공격 방법.

 

Stored, Reflected, DOM-based 세가지 기법이 있다.

 

• Stored XSS

악성 스크립트가 서버에 저장되어 다른 사용자가 웹사이트에 방문하거나 글을 열람할 때 스크립트가 실행되는 기법.

게시판 같은 곳에 악성 스크립트가 포함된 글을 게시하고, 다른 사용자가 그 글을 볼 때 해당 스크립트가 실행되어 세션, 쿠키 등의 사용자 정보를 유출시키거나 공격자가 유도한 사이트로 리다이렉트 하는 등의 방식이다.

 

• Reflected XSS

서버가 외부 요청에 대한 응답으로 검색 결과나 에러 메세지 등을 전달하는 과정에서, 사용자 요청해 포함된 악성 스크립트가 그대로 전달(반사) 되면서 발생하는 공격 기법. 악성 스크립트가 포함된 URL을 클릭하도록 유도하여 사용자의 정보를 탈취함.

 

• DOM XSS

위의 공격들과 달리, 서버가 아닌 브라우저에서 발생하는 공격으로, 클라이언트에서 DOM을 이용해 동적으로 페이지를 조작할 때 발생한다. 

 

 

참고

https://rootkey.tistory.com/157

[보안개론] 크로스 사이트 스크립팅 무엇인가요?

https://daniel-park.tistory.com/45

[WEB] XSS(Cross Site Scripting - 크로스 사이트 스크립팅)이란???